Beinahevorfall unter NIS2: Muss man ihn melden?

Stand: 14.10.2026 · ComplyCheck-Redaktion · Keine Rechtsberatung iSd RDG § 2.

Drei Begriffe, eine Meldepflicht

Das BSIG unterscheidet drei Stufen. Nur die dritte ist meldepflichtig.

Das BSI-Portal bildet genau diese drei Stufen ab. In der Anleitung zur Meldung stellt das BSI klar, dass nur erhebliche Sicherheitsvorfälle meldepflichtig sind. Die Erstmeldung fragt außerdem ausdrücklich ab, ob eine Beeinträchtigung verhindert wurde.

Wo die Grenze in der Praxis liegt

Entscheidend ist, ob die Beeinträchtigung eingetreten ist. Wie gefährlich der Angriff gemeint war, spielt für die Abgrenzung zum Beinahevorfall keine Rolle. Die folgenden Beispiele zeigen die typische Einordnung. Sie ersetzen nicht die Prüfung im Einzelfall.

Beim übernommenen Admin-Konto greift für die Erheblichkeit ein Kriterium aus der Durchführungsverordnung (EU) 2024/2690: ein erfolgreicher, mutmaßlich böswilliger und unbefugter Zugriff, der geeignet ist, schwerwiegende Betriebsstörungen zu verursachen (Art. 3 Abs. 1 lit. e). Für digitale Anbieter wie Cloud-Dienste, Rechenzentren und MSP gilt die Verordnung unmittelbar. Für Einrichtungen anderer Sektoren geht das BSI laut Infopaket zur Meldepflicht von einem erheblichen Vorfall aus, wenn mindestens ein Kriterium aus Art. 3 Abs. 1 erfüllt ist.

Freiwillig melden: wann es sich lohnt

Art. 30 der NIS2-Richtlinie sieht vor, dass wesentliche und wichtige Einrichtungen Sicherheitsvorfälle, Cyberbedrohungen und Beinahevorfälle freiwillig melden können. Das BSI nutzt solche Meldungen für sein Lagebild. Gründe, einen Beinahevorfall freiwillig zu melden:

• Gezielter Angriff: Der Versuch richtet sich erkennbar gegen Ihre Einrichtung oder Ihre Branche, etwa mit Kenntnis interner Namen.
• Neue Masche: Angriffsweg oder Schadsoftware sind neu, andere Einrichtungen könnten weniger gut geschützt sein.
• Schwachstelle: Der Versuch nutzt eine Lücke in einem Produkt, das viele einsetzen. Schwachstellen nimmt das BSI-Portal laut FAQ auch ohne Benutzerkonto an.

Eine freiwillige Meldung löst keine Folgemeldungspflichten aus. Stellt sich später heraus, dass doch eine Beeinträchtigung eingetreten ist und der Vorfall erheblich war, gilt ab dieser Erkenntnis die reguläre 24-Stunden-Frist.

Warum Sie Beinahevorfälle trotzdem dokumentieren

Drei Gründe sprechen dafür, auch nicht meldepflichtige Ereignisse festzuhalten.

Erstens die Pflicht zur Bewältigung. Die Bewältigung von Sicherheitsvorfällen gehört zu den Risikomanagementmaßnahmen nach § 30 Abs. 2 Nr. 2 BSIG. Ein Protokoll zeigt, dass Erkennung und Abwehr funktionieren.

Zweitens die Zusammenrechnung. Nach Art. 4 der Durchführungsverordnung (EU) 2024/2690 gelten Sicherheitsvorfälle, die einzeln nicht erheblich sind, zusammen als erheblich, wenn sie innerhalb von sechs Monaten mindestens zweimal aufgetreten sind, dieselbe offensichtliche Ursache haben und zusammen die finanzielle Schwelle aus Art. 3 Abs. 1 lit. a erreichen (500.000 € oder 5 % des Vorjahresumsatzes, der niedrigere Wert). Das betrifft eingetretene Vorfälle; wer sie nicht erfasst, kann die Rechnung nicht aufmachen.

Drittens der Nachweis. Fragt das BSI später nach, belegt eine datierte Bewertung, warum ein Ereignis nicht gemeldet wurde. Halten Sie fest: Zeitpunkt, was passiert ist, warum keine Beeinträchtigung eingetreten ist, wer bewertet hat.

Datenschutz: kein Beinahevorfall nach DSGVO

Die DSGVO kennt keine Kategorie Beinahevorfall. Eine Meldung an die Datenschutzaufsicht nach Art. 33 DSGVO setzt eine Verletzung des Schutzes personenbezogener Daten voraus. Wurde der Zugriff verhindert, liegt keine Verletzung vor. Ist dagegen ein Konto mit Zugang zu Kundendaten übernommen worden, prüfen Sie Art. 33 DSGVO parallel: unverzüglich und möglichst binnen 72 Stunden, es sei denn, die Verletzung führt voraussichtlich nicht zu einem Risiko für die Betroffenen.

Österreich: dieselbe Logik, andere Schwellen

Auch in Österreich sind nur erhebliche Cybersicherheitsvorfälle meldepflichtig (§ 34 Abs. 1 NISG 2026). Wann ein Vorfall erheblich ist, konkretisiert § 5 NISV 2026 mit eigenen Schwellen, etwa mehr als 100.000 oder 10 % der Nutzer länger als 24 Stunden betroffen. Wiederholte Vorfälle regelt § 7 NISV 2026 und verlangt dafür dieselbe offensichtliche Ursache und Auswirkung. Details stehen im Artikel NIS2-Meldung in Österreich.

Drei häufige Fehleinschätzungen

„Der Angriff war gefährlich, also melden wir." Die Gefährlichkeit des Versuchs macht ihn nicht meldepflichtig. Maßgeblich ist, ob eine Beeinträchtigung eingetreten ist und ob sie die Schwelle aus § 2 Nr. 11 BSIG erreicht. Eine freiwillige Meldung bleibt möglich, sie ist dann aber als solche zu kennzeichnen.

„Es ist nichts kaputtgegangen, also ist es ein Beinahevorfall." Auch ein unbemerkter Datenabfluss oder ein übernommenes Konto beeinträchtigt die Vertraulichkeit. Dass Systeme weiterlaufen, sagt über die Einordnung wenig.

„Wir warten die Forensik ab." Die 24 Stunden laufen ab Kenntnis eines erheblichen Vorfalls, nicht ab abgeschlossener Analyse. Wer begründet annimmt, dass eine Beeinträchtigung eingetreten ist, prüft sofort die Erheblichkeit und hält das Ergebnis mit Uhrzeit fest.

So prüfen Sie im Ernstfall

1. Ist eine Beeinträchtigung eingetreten? Nein: Beinahevorfall, dokumentieren, freiwillige Meldung erwägen.
2. Ja: Ist sie erheblich? Prüfen Sie § 2 Nr. 11 BSIG und die Kriterien aus Art. 3 Abs. 1 der Durchführungsverordnung (EU) 2024/2690.
3. Unklar? Im Zweifel melden. Die 72-Stunden-Meldung bestätigt oder aktualisiert die frühe Erstmeldung (§ 32 Abs. 1 Nr. 2 BSIG); eine vorsorgliche Erstmeldung lässt sich korrigieren, eine versäumte nicht nachholen.

Der NIS2-Melde-Assistent führt genau durch diese Fragen, mit Quelle zu jeder Regel. Antworten Sie bei der Frage nach der eingetretenen Beeinträchtigung mit „Nein", ordnet er das Ereignis als Beinahevorfall ein.

FAQ

Ist ein blockierter Ransomware-Angriff meldepflichtig?

Wurde die Schadsoftware vor der Ausführung gestoppt und ist kein System beeinträchtigt, handelt es sich in der Regel um einen Beinahevorfall. Hatten die Angreifer aber bereits Zugang zum Netz, ist meist schon eine Beeinträchtigung eingetreten, und die Erheblichkeit ist zu prüfen.

Zählt ein Beinahevorfall bei wiederholten Vorfällen mit?

Art. 4 der Durchführungsverordnung (EU) 2024/2690 rechnet Sicherheitsvorfälle zusammen, die einzeln nicht erheblich sind. Ein Beinahevorfall ist kein Sicherheitsvorfall. Häufen sich Beinahevorfälle mit derselben Ursache, ist das aber ein Signal, die eigenen Schutzmaßnahmen zu prüfen.

Wer entscheidet, ob ein Vorfall ein Beinahevorfall war?

Die Einrichtung selbst, nach festgelegten Kriterien. Legen Sie im Incident-Response-Plan fest, wer bewertet und wie die Bewertung dokumentiert wird. Im Einzelfall, etwa wenn Daten Dritter betroffen sein könnten, sollten Sie Ihren Datenschutzbeauftragten oder einen Fachanwalt für IT-Recht einbinden.